MACsec

Abkürzung: MACsec

Festgelegt in IEEE 802.1AE, ergänzt um das Schlüsselverfahren aus IEEE 802.1X. MACsec schließt die Lücke, die alle höheren Verfahren offenlassen: Es schützt den Ethernet-Rahmen als Ganzes, einschließlich der Adressen und Kennzeichnungen, die IPsec und TLS unberührt lassen.

Abschnittsweise, nicht Ende zu Ende

Das ist die bestimmende Eigenschaft und der häufigste Irrtum. MACsec sichert eine Strecke zwischen zwei Nachbarn — Gerät zu Switch, Switch zu Switch, Switch zu Router. Es überwindet keinen Router und keine Vermittlungsebene.

Ein Frame, der über drei Abschnitte läuft, wird dreimal entschlüsselt und neu verschlüsselt. In jedem Zwischengerät liegt er im Klartext vor. Für die Absicherung einer Mietleitung oder eines Uplinks ist das genau das Richtige; als Ersatz für eine Ende-zu-Ende-Verschlüsselung ist es untauglich.

Was im Frame passiert

MACsec schiebt ein Kennzeichnungsfeld hinter die Adressen und hängt eine Prüfsumme an:

ohne    [ Ziel-MAC ][ Quell-MAC ][ Typ ][ Nutzdaten ][ FCS ]

mit     [ Ziel-MAC ][ Quell-MAC ][ SecTAG ][ Nutzdaten ][ ICV ][ FCS ]
                                            └ verschlüsselt ┘
                                  └──── integritätsgeschützt ────┘

Das SecTAG enthält unter anderem eine Kennung der Schutzbeziehung und eine laufende Paketnummer. Der Integrity Check Value am Ende belegt die Unverändertheit und schließt die Adressfelder mit ein — anders als bei IPsec, wo der IP-Kopf im Transportmodus außen bleibt.

Die Quell- und Zieladresse bleiben sichtbar, weil der Switch sie zum Weiterleiten braucht. Alles dahinter ist standardmäßig verschlüsselt.

Der Fall mit dem VLAN-Tag

Daraus entsteht ein praktisches Problem: Die VLAN-Kennzeichnung liegt hinter den Adressen und wandert damit in den verschlüsselten Teil — siehe VLAN-Tagging. Ein Netzbetreiber, der Kundenverkehr anhand des Tags zuordnet, kann das dann nicht mehr.

Dafür gibt es den Confidentiality Offset: Die Verschlüsselung beginnt erst einige Bytes später, üblich sind 30 oder 50, womit das Tag im Klartext bleibt und nur integritätsgeschützt ist. Das ist die Einstellung, die bei der Übergabe an einen Carrier regelmäßig gebraucht wird — und eine bewusste Preisgabe, keine Nachlässigkeit.

Ebenso möglich ist der Betrieb ohne Verschlüsselung, nur mit Integritätsschutz. Das schützt gegen Einspielen und Verändern von Rahmen, nicht gegen Mitlesen, und wird dort eingesetzt, wo Vertraulichkeit nicht gefordert ist oder eine Prüfstelle mitlesen muss.

Die Schlüssel

Zwei Ebenen, die auseinanderzuhalten sind:

Der Connectivity Association Key ist der langlebige Schlüssel der Beziehung. Aus ihm leitet das MACsec Key Agreement die kurzlebigen Secure Association Keys ab, mit denen tatsächlich verschlüsselt wird, und wechselt sie im Betrieb — insbesondere bevor der Paketnummernbereich erschöpft ist.

Woher der langlebige Schlüssel kommt, unterscheidet die beiden Betriebsarten:

Statisch. Auf beiden Seiten von Hand eingetragen. Einfach, geeignet für eine überschaubare Zahl fester Strecken, mit dem bekannten Nachteil, dass niemand ihn wechselt.

Aus 802.1X abgeleitet. Die Anmeldung über EAP gegen einen RADIUS-Server liefert Schlüsselmaterial, aus dem der Schlüssel entsteht. Damit wird MACsec zur Fortsetzung der Zugangskontrolle: 802.1X entscheidet, wer darf, MACsec schützt anschließend die Strecke. Genau das ist der Punkt, an dem die Zugangskontrolle ihre eigene Lücke schließt — ohne MACsec liegt der Verkehr nach erfolgreicher Anmeldung offen.

Verschlüsselt wird mit AES im Galois/Counter-Modus, mit 128 oder 256 Bit. Für schnelle Strecken gibt es die Varianten mit erweiterter Paketnummerierung, weil der ursprüngliche 32-Bit-Zähler bei hohen Datenraten zu schnell überläuft — und ein überlaufender Zähler unter demselben Schlüssel ist bei GCM der Fehler, den man um jeden Preis vermeiden muss.

Betriebliche Folgen

Zusätzlicher Platzbedarf. SecTAG und Prüfsumme kosten rund 32 Byte je Rahmen. Auf Strecken, die bereits an der Größengrenze arbeiten, muss die zulässige Rahmengröße angehoben werden — siehe Jumbo Frame. Geschieht das nicht, erscheinen Fehlerbilder, die aussehen wie Probleme ganz anderer Art.

In Hardware, nicht in Software. MACsec wird im Netzbaustein der Schnittstelle ausgeführt und läuft deshalb mit voller Leitungsgeschwindigkeit. Das ist sein Hauptvorteil gegenüber IPsec auf gleicher Strecke — kostet aber Unterstützung in der Hardware, die ältere Geräte nicht mitbringen.

Jeder Abschnitt einzeln. Es gibt keine durchgehende Konfiguration für einen Pfad. Jede Strecke braucht ihre eigene Beziehung, und jedes Zwischengerät muss das Verfahren beherrschen.

Wo es eingesetzt wird

Auf Verbindungen zwischen Verteilern und Rechenzentren, wo Leitungen durch fremde Hände laufen. Auf Mietleitungen und über DWDM-Strecken, bei denen man dem Betreiber die Trennung, aber nicht die Vertraulichkeit zutraut. Auf Zugangsports in Umgebungen mit erhöhtem Schutzbedarf, als Ergänzung zu 802.1X. Und im Zulassungsumfeld: Verschlüsselung auf Ethernet-Ebene ist eine eigene Produktklasse unter den vom BSI zugelassenen Geräten, siehe VS-NfD.

Abgrenzung

802.1X regelt den Zugang, MACsec den Schutz der Strecke danach. Die Norm für das Schlüsselverfahren steht deshalb in 802.1X, nicht in 802.1AE.

IPsec schützt über Netzgrenzen hinweg und ist für eine einzelne Strecke der aufwendigere Weg. MACsec schützt eine Strecke und kommt über keine Netzgrenze.

WPA löst dieselbe Aufgabe für die Funkstrecke: Verschlüsselung eines einzelnen Abschnitts zwischen Gerät und Zugangspunkt. Der gedankliche Aufbau ist derselbe, die Norm eine andere.